09/07/2026
VLAN là công cụ phân tách mạng logic mà không cần thêm phần cứng — một switch vật lý chạy được nhiều mạng độc lập, mỗi mạng có broadcast domain riêng. Trong hệ thống camera và an ninh, VLAN thường dùng để tách luồng camera khỏi luồng IT văn phòng, cô lập mạng quản lý, và kiểm soát luồng traffic giữa các phân vùng mạng.
Bài này là bài thứ hai trong chuỗi hướng dẫn switch GTWave, giả định switch đã được cài đặt và bảo mật theo bài cài đặt và truy cập switch GTWave lần đầu. Nội dung đi qua toàn bộ tình huống thực tế: tạo VLAN cho camera, cấu hình trunk giữa các switch, tách thoại và dữ liệu trên cùng một cổng, và Q-in-Q cho hạ tầng có yêu cầu phức tạp hơn.
Toàn bộ cấu hình VLAN xoay quanh ba chế độ cổng. Chọn sai chế độ là nguyên nhân phổ biến nhất khiến thiết bị không thông mạng dù VLAN đã tạo đúng.
| Chế độ | Xử lý tag | Dùng cho |
| Access | Vào/ra đều untagged, chỉ một VLAN | Nối thiết bị đầu cuối: PC, camera, AP |
| Trunk | Vào/ra tagged 802.1Q (trừ native), nhiều VLAN | Nối switch–switch, switch–router |
| Hybrid | Tagged hoặc untagged tùy từng VLAN | Linh hoạt nhất, chủ yếu cho QinQ |
VLAN 1 là VLAN mặc định trên tất cả cổng và không thể xóa. Thực hành chuẩn là không dùng VLAN 1 cho quản trị hay dữ liệu trong production — tạo VLAN riêng cho từng mục đích và giữ VLAN 1 (hoặc một VLAN không dùng như 999) làm native trunk.
Tình huống điển hình trong dự án camera: tạo VLAN 200 cho hệ thống camera và gán dải cổng ge1/5 đến ge1/8.
Switch# configure terminal
Switch(config)# vlan database
Switch(config-vlan)# vlan 200 name CAMERA
Switch(config-vlan)# exit
Switch(config)# interface range ge1/5-8
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 200
Switch(config-if-range)# no shutdown
Switch(config-if-range)# end
Switch# write
Trên Web UI L2, quy trình gồm hai bước: vào VLAN Configuration → VLAN Configuration tạo VID 200, rồi VLAN Configuration → VLAN Port Configuration đặt từng cổng ge1/5 đến ge1/8 sang mode Access, VLAN 200, Apply, và Save Current Configuration.
Kiểm tra sau khi cấu hình:
Switch# show vlan
VLAN Name Status Ports
1 default active ge1/1-4, ge1/9-24
200 CAMERA active ge1/5-8
Switch# show interface switchport ge1/5
Administrative Mode: access
Access Mode VLAN: 200
Trunk mang nhiều VLAN qua một liên kết duy nhất bằng cách gắn tag 802.1Q vào mỗi frame. Khi hệ thống có nhiều switch — ví dụ access switch tầng một kết nối lên core switch — trunk là cách để VLAN camera, VLAN quản lý và VLAN văn phòng đi qua cùng một liên kết mà vẫn tách biệt nhau.
Ví dụ: cổng ge1/24 nối lên core, cho phép VLAN 100 (quản lý), 200 (camera), 300 (văn phòng), với native VLAN 999 không dùng để chống tấn công VLAN hopping:
Switch(config)# vlan database
Switch(config-vlan)# vlan 100, 200, 300, 999
Switch(config-vlan)# exit
Switch(config)# interface ge1/24
Switch(config-ge1/24)# switchport mode trunk
Switch(config-ge1/24)# switchport trunk native vlan 999
Switch(config-ge1/24)# switchport trunk allowed vlan none
Switch(config-ge1/24)# switchport trunk allowed vlan add 100,200,300
Switch(config-ge1/24)# no shutdown
Switch(config-ge1/24)# end
Switch# write
Hai lỗi hay gặp nhất với trunk: bỏ qua lệnh switchport trunk allowed vlan none trước khi add (khiến tất cả VLAN 1-4094 vẫn được forward), và để native VLAN lệch nhau giữa hai đầu trunk (gây log spam “native VLAN mismatch” liên tục). Luôn kiểm tra cả hai đầu liên kết khi trunk không hoạt động đúng.
Trong môi trường văn phòng, IP phone thường có cổng switch tích hợp để cắm tiếp PC. Voice VLAN tách thoại (cần ưu tiên) khỏi dữ liệu trên cùng một cổng vật lý. Switch nhận diện IP phone qua OUI (ba byte đầu của MAC nhà sản xuất), tự gắn lưu lượng thoại vào VLAN 50 với ưu tiên cao, trong khi lưu lượng PC vẫn untagged ở VLAN 30.
Ví dụ: cổng ge1/10, IP phone thuộc VLAN 50, PC thuộc VLAN 30:
Switch(config)# vlan database
Switch(config-vlan)# vlan 30 name DATA
Switch(config-vlan)# vlan 50 name VOICE
Switch(config-vlan)# exit
Switch(config)# voice-vlan oui 001B.5400.0000 mask FFFF.FF00.0000 description Cisco-IP-Phone
Switch(config)# interface ge1/10
Switch(config-ge1/10)# switchport mode access
Switch(config-ge1/10)# switchport access vlan 30
Switch(config-ge1/10)# voice-vlan vlan 50
Switch(config-ge1/10)# voice-vlan port enable
Switch(config-ge1/10)# end
Switch# write
Để ưu tiên thoại hoạt động đúng đầu cuối, kết hợp Voice VLAN với cấu hình QoS — chi tiết nằm ở bài viết Bảo mật và QoS
GVRP cho phép switch học VLAN từ switch lân cận mà không cần khai báo thủ công ở từng thiết bị.
Switch(config)# gvrp enable
Switch(config)# interface ge1/24
Switch(config-ge1/24)# gvrp registration enable
Switch(config-ge1/24)# end
Switch# show gvrp
⚠ GVRP phát tán VLAN khắp domain và có thể làm mất kiểm soát phạm vi broadcast. Với hệ thống production — đặc biệt hệ thống camera an ninh — nên quản lý VLAN thủ công thay vì dùng GVRP. Kiểm soát tay tốn thêm thời gian cấu hình ban đầu nhưng an toàn và không có rủi ro VLAN tự phát tán ngoài ý muốn.
QinQ lồng một tag VLAN bên ngoài (outer) lên tag của khách hàng (inner), cho phép nhà mạng phân tách lưu lượng nhiều khách hàng mà vẫn giữ nguyên VLAN nội bộ của từng khách.
Tình huống: outer VLAN 100 cho khách A, outer VLAN 200 cho khách B:
Switch(config)# interface ge1/1
Switch(config-ge1/1)# switchport mode trunk
Switch(config-ge1/1)# switchport trunk allowed vlan add 100,200
Switch(config-ge1/1)# qinq uplink
Switch(config)# interface ge1/2
Switch(config-ge1/2)# switchport mode hybrid
Switch(config-ge1/2)# switchport hybrid allowed vlan add 100 egress-tagged disable
Switch(config-ge1/2)# qinq customer
Switch(config-ge1/2)# qinq outer-vid 100 inner-vid 500
Switch(config-ge1/2)# end
Switch# show qinq
Hybrid cho phép một cổng là thành viên của nhiều VLAN với hỗn hợp tagged và untagged – ít dùng trong cấu hình thông thường, chủ yếu cho các trường hợp đặc biệt:
Switch(config)# interface ge1/15
Switch(config-ge1/15)# switchport mode hybrid
Switch(config-ge1/15)# switchport hybrid native vlan 1
Switch(config-ge1/15)# switchport hybrid allowed vlan add 10 egress-tagged enable
Switch(config-ge1/15)# switchport hybrid allowed vlan add 20 egress-tagged disable
VLAN Mapping đổi VLAN ID khi lưu lượng vào switch — dùng khi hai mạng có VLAN ID trùng nhau cần kết nối:
Switch(config)# interface ge1/1
Switch(config-ge1/1)# vlan-mapping vlan 100 map-vlan 1000
Switch(config-ge1/1)# vlan-mapping enable
| Triệu chứng | Hướng kiểm tra |
| PC trong access port không ping được nhau | Cùng VLAN chưa? Dùng show vlan kiểm tra |
| PC không nhận DHCP | DHCP server có ở cùng VLAN, hoặc chưa cấu hình DHCP relay |
| Trunk hai bên log spam native VLAN mismatch | Native VLAN lệch nhau, đặt khớp cả hai đầu |
| Mất kết nối sau khi thêm allowed vlan | Quên none/remove all trước khi add |
| Đổi trunk sang access không xóa native tag | Cần no switchport trunk native vlan trước khi đổi mode |
| show vlan không thấy VLAN mới | Chưa exit khỏi vlan database hoặc chưa write |
Với PC không nhận DHCP, đối chiếu thêm bài Dịch vụ DHCP trên switch GTWave. Nếu nghi vấn loop khi mở rộng VLAN qua nhiều switch, xem bài Chống loop và mạng vòng trên switch GTWave
Switch GTWave tương thích với mọi thiết bị PoE chuẩn 802.3af/at/bt. Phần dưới là lưu ý riêng khi kết hợp với camera Ikegawa — nếu bạn đang dùng hãng camera khác, các bước cấu hình PoE/VLAN phía trên vẫn áp dụng hoàn toàn.
Khi triển khai hệ thống camera Ikegawa trên switch GTWave, một số điểm cần lưu ý để VLAN hoạt động đúng ngay từ đầu:
Đặt toàn bộ camera Ikegawa vào VLAN riêng (ví dụ VLAN 200), NVR nên đặt cùng VLAN với camera để tránh phải cấu hình routing giữa VLAN — nếu tách NVR ra VLAN riêng thì cần thêm L3 routing hoặc DHCP relay. Management switch GTWave đặt vào VLAN quản lý riêng (ví dụ VLAN 100). Tách từ đầu giúp cô lập traffic giám sát, dễ QoS và dễ troubleshoot khi có sự cố.
Khi hệ thống có nhiều switch — access switch tại tầng nối lên core — trunk giữa các switch phải allowed đủ VLAN camera và NVR. Lỗi hay gặp nhất là trunk chỉ allowed VLAN quản lý, dẫn đến camera thông mạng trong switch access nhưng NVR ở switch khác không thấy camera.
Camera Ikegawa hỗ trợ ONVIF và dùng multicast cho một số tính năng phát hiện thiết bị. Bật IGMP Snooping trên switch GTWave để kiểm soát multicast traffic, tránh flood toàn bộ VLAN camera khi có nhiều NVR và camera hoạt động đồng thời. Lưu ý: cần có IGMP Querier hoạt động trong VLAN camera, nếu không multicast có thể bị chặn hoàn toàn thay vì chỉ được kiểm soát. Cấu hình IGMP Snooping chi tiết nằm ở bài Giám sát và quản trị switch GTWave: SNMP, RMON, LLDP và Syslog
Lỗi native VLAN mismatch xuất hiện thường xuyên khi kết nối switch GTWave với switch của hãng khác trong cùng dự án. Luôn kiểm tra và đặt khớp native VLAN trước khi bàn giao hệ thống.
Access port chỉ thuộc một VLAN và truyền traffic không có tag — dùng cho thiết bị đầu cuối như camera, PC. Trunk port mang nhiều VLAN qua tag 802.1Q — dùng để kết nối switch với switch hoặc switch với router.
VLAN 1 là VLAN mặc định trên mọi cổng, không thể xóa và dễ bị khai thác qua tấn công VLAN hopping. Đẩy quản trị và dữ liệu ra VLAN khác, giữ VLAN 1 làm native không dùng là thực hành bảo mật cơ bản.
Kiểm tra theo thứ tự: native VLAN có khớp cả hai đầu không, allowed VLAN có đúng không (dùng show interface trunk), no shutdown đã chạy chưa, và cáp vật lý có vấn đề không.
Không khuyến nghị. GVRP tự phát tán VLAN khắp domain, khó kiểm soát trong môi trường production. Quản lý VLAN thủ công tốn thêm thời gian cấu hình ban đầu nhưng an toàn và dễ troubleshoot hơn.
QinQ chủ yếu dùng cho hạ tầng nhà mạng và Metro Ethernet khi cần phân tách lưu lượng nhiều khách hàng mà vẫn giữ nguyên VLAN nội bộ của từng khách. Trong dự án camera thông thường, QinQ không cần thiết.
Kiểm tra DHCP server có scope cho VLAN đó chưa. Nếu DHCP server ở VLAN khác, cần cấu hình DHCP relay trên interface VLAN của switch L3 để forward DHCP request qua VLAN boundary
Trường Sơn Solutions là nhà phân phối ủy quyền GTWave tại Việt Nam, hỗ trợ tư vấn thiết kế VLAN plan và cung cấp switch GTWave cho dự án camera, doanh nghiệp và công nghiệp trên toàn quốc, kèm đầy đủ hồ sơ CO/CQ cho dự án đầu tư công. Liên hệ để được hỗ trợ.
Tác giả:
Trường Sơn SolutionsĐiện thoại
Thời gian làm việc
Để lại thông tin liên hệ ngay với chúng tôi để được tư vấn sớm nhất
Tin tức khác
